HyperVM y Kloxo, de LxLabs, en el punto de mira

Apolo · 09-jun-2009, 14:39

Al parecer una vulnerabilidad en el software HyperVM / Kloxo, de LxLabs, ha sido explotada para vulnerar cientos de cuentas VPS y miles de sitios Web, causando en la mayoría de casos una pérdida total de datos. © Por Jaime Echeverry, redacción de ComunidadHosting

El domingo 7 de junio en la noche comenzó en WebHostingTalk uno de los temas más extensos en su historia reciente, que al momento de escribir estas líneas va acercándose a las 1,700 respuestas y a las 83,000 visualizaciones:

fsckvps - Clients and Staff only please

El tema en cuestión comenzaba como un reporte "habitual" de no disponibilidad de un proveedor de hosting, por parte de uno de sus clientes. Pero poco después se puso en evidencia que el asunto era de marca mayor, pues al parecer a través de una vulnerabilidad de HyperVM / Kloxo, el software de administración o panel de control para las tecnologías de virtualización OpenVZ y Xen, desarrollado por LxLabs, con base en la India, había sido explotada para lograr acceso a cientos de cuentas VPS.

Aunque varias empresas más han resultado afectadas en menor o mayor grado, hasta el momento la empresa más afectada ha sido VAserv Ltd, con base en Reino Unido, que opera con varias marcas o nombres de dominio en Internet, tales como vaserv.com, fsckvps y a2b2.com, entre otras. El sitio ITPRO sugiere que cerca de 100,000 sitios han sido afectados.

Los resultados no se han hecho esperar. Varios sitios Web (1, 2) reportan la muerte de T.K. Ligesh, fundador y/o desarrollador principal de LxLabs, quien al parecer habría cometido suicidio. Y el propietario de VAserv Ltd, Rus Foster, manifestó públicamente haber llegado al límite de su capacidad física y emocional, cediendo las operaciones de su compañía a la también empresa británica BlueSquare Data Group. A continuación el mensaje original en inglés enviado a los clientes de VAserv Ltd:

Cita:

Dear VaServ customer,

As I am sure you are aware due to a combination of issues a large number of VPS nodes were compromised by a third party, which has resulted in some customers suffering a data loss.

Vaserv’s UK operations have been based at the BlueSquare Data Centre for a number of years, and we have a very strong working relationship with Rus Foster and his team. Once Rus made us aware of the major issues that his company was facing, we quickly mobilised a number of our experienced Linux engineers to help with the restore and rebuild of the VPS platform. Our engineers, along with vaserv staff have been working on these issues for well over 24 hours now, and we are starting to catch our tail.

We have been in dialog with Rus regarding the ongoing support of Vaserv, and it is with pleasure that I can announce BlueSquare Data Group will be taking over the operations of Vaserv in the future.

For the meantime we will continue to support vaserv and Rus wherever we can, and some customers are already being moving onto our own BlueSquare infrastructure.

Our short term aim is to get as many customers back up as soon as possible, as well as providing customers who have suffered a data loss a new VPS on the BlueSquare platform.

Our long term aim will be to move all the current VAServ customers onto the new BlueSquare Linux VPS platform, which has been in development for a number of months, and boasts industry leading security and reliability, along with the speed and uptime you would expect from VAserv.

We look forward to working with Rus and his team, and are excited about the opportunities this brings for you as a customer, providing exactly what you have been used to, but on a even better hardware and software platform. We have no intentions to change customer pricing.

Please continue to liaise with Rus and his team during these difficult times (as we don’t have any access to the day-to-day tech support of VAserv). We will continue to assist with infrastructure in the meantime, and will be in further contact once the majority of the recent issues have been resolved.

Thank you for your continued support,

Best Regards,

Matthew Munson
Group Technical Director, BlueSquare Data Group.

Uno de los atacantes alcanzó a publicar en el mismo tema de WebHostingTalk parte de la información de cómo logró acceso y la forma en la que actuó posteriormente, pero el mensaje ha sido borrado oportunamente por uno de los administradores del sitio.

En el propio sitio de LxLabs hacen mención a al menos una de las vulnerabilidades, pero ante la desaparición del señor Ligesh, la incertidumbre no ha hecho más que crecer.

Mi solidaridad para con los familiares del señor Ligesh, para con Rus Foster en estos tiempos difíciles y para con los cientos o miles de clientes afectados por todo este incidente.

gzraul · 09-jun-2009, 15:05

Menudo escalofrío que me acaba de entrar

ideasmultiples · 09-jun-2009, 17:53

Realmente trágico.
:(

HostingDN · 09-jun-2009, 18:35

Vaya, yo recibi un correo de LxLabs el 6 del presente mes con lo siguiente:

Cita:

Dear Customers,

Multiple security vulnerabilities were discovered in hyperVM and Lxadmin/Kloxo. It is recommended that you update your hyperVM/Kloxo systems to the latest version, as soon as possible.

Details of the vulnerabilities will be posted in the coming days in our forum.

On hyperVM or Kloxo master, Run:

/script/upcp

Lxlabs Support Team

No pense que este problema pudiera crecer a tal magnitud, mi mas sentido pesame a los familiares del señor Ligesh.

Que desastre tan horrible.

CyberNuc · 09-jun-2009, 21:17

Hace unos días estuve visitando su pagina y probando el panel de control...

Realmente una noticia tragica, mi mas sentido pésame a su familia

un saludo

copernico.es · 09-jun-2009, 21:56

Gracias por el aviso Jaime

Jalweb · 10-jun-2009, 06:30

Realmente tragico, la persona que realizo esa eyección es una ###### la verdad.

Disculpas por la palabra.

Mi mas sentido pesame y un saludo afectuoso a los familiares del Sr. Ligesh.

Saludos.-

WebTech · 10-jun-2009, 13:21

Vaya noticia, hace un rato lo leí en otro sitio, no le deseo estas situaciones a nadie!

Saludos,

ResellerHost · 10-jun-2009, 17:01

yo recibi un email de xeonpro, que por cierto hace poco lo criticaban porque se habia caido el servidor, y que tenian mal soporte al final lo que ha sucedido es lo que esta publicado aqui, crackearon el software de virtualizacion, xeonpro trabaja con lxlabs como muchas otras empresas, esto fue lo que nos enviaron:

El Día 1º de Junio del presente año, nuestros servidores se actualizarón a una nueva versión de hypervm que estaba disponible
(hypervm= sistema que usamos para virtualizar y poder acojer VPS),
Un día después recibimos un mensaje con palabras indevidas por parte del dueño de lxlabs y creador de hypervm (supuestamente)

Ese mismo día, horas después, recibimos un mensaje por parte de un administrador de lxlabs diciendo que les habían hackeado su sistema de tickets y la lista de IPs de todos los servidores que usan este mismo sistema.
Pero por suerte no había ahí ninguna contraseña.

Lo que ellos aún no sabían, era que existía un problema con hypervm y que los hackers estaban explotando y se estaban encargando de borrar servidores de diferentes empresas de hosting.

Por desgracia los hackers encontraron la IP de este servidor e hicieron explotar los bugs, y esto hizo que el srv7 y srv5 dejaran de funcionar.

Muchas empresas de hosting hasta el momento han cerrado y otras más se han declarado en la quiebra, tales como:
vaserv.com
cheapvps.co.uk

Ya que los hackers tambien eliminaban todos los respaldos.

En nuestro caso el disco duro fue eliminado por completo, por suerte existe una copia de seguridad de dos días antes en otro disco duro, pero el tiene allgunos problemas debido a que los hackers ya habían borrado algunos directorios, pero se piensa que nada de información valiosa (sitios, bases de datos).

Lxlabs, aviso de este problema el día 5 de junio, pero lamentablemente ya era demasiado tarde para muchas empresas.
" Dear Customers,
Multiple security vulnerabilities were discovered in hyperVM and Lxadmin/Kloxo. It is recommended that you update your hyperVM/Kloxo systems to the latest version, as soon as possible.
Details of the vulnerabilities will be posted in the coming days in our forum.
On hyperVM or Kloxo master, Run:
/script/upcp
Lxlabs Support Team"

El problema ha dado la vuelta al mundo, ya que hasta ahora se tienen contemplados más de 100,000 sitios perdidos, aunque se piensa que son más de 400,000. Lamentablemente ayer por la noche lxlabs informo la muerte (suicidio) de su creador.

Se ha contratado a un especialista en hypervm, y más de tres tecnicos trabajan en la solución del problema.
Los tecnicos afirman que podran recuperar la información de los sitios, pero no tienen un tiempo estimado, ya que la recuperación de datos es una tarea que puede ser muy larga.

Por ahora les comunicamos, que cambiaremos el sistema de virtualización, a uno con más prestigio, el cual incluye entre sus opciones, el balance de carga y servidores redundantes tambien conocido como "servidores espejos", para garantizar un mejor tiempo de disponibilidad.

Esperamos comprendan la cantidad de tickets que estamos recibiendo, y por favor abrir un solo ticket y esperar una respuesta.

forum.lxlabs.com/index.php?t=msg&th=12317&prevloaded=1&&start=0

theregister.co.uk/2009/06/09/lxlabs_funder_death/

fayerwayer.com/2009/06/hackers-destruyen-a-100000-sitios-web/

por lo que entiendo al menos xeonpro logro respaldar, con dos dias de anterioridad, ahora queda esperar el restablecimiento del servicio, en otro post decian que ellos no daban soporte creo que fue VICO, en fin , creo que si responden, aqui esta la prueba, ahora bien, si ellos tienen miles de clientes, y todos a su vez todos envian un ticket de soporte ya debemos imaginarnos como hacer para contestar a todos, como veo en el encabezado del email han enviado esta notificacion a todos los afectados a traves de la lista de emails que tienen.

HostingDN · 10-jun-2009, 19:13

Pues quien sabe si en verdad tubo este problema o solo se valio de esto para responder, pero este tema no es el correcto para colocar ese post o almenos eso siento yo.

ResellerHost · 10-jun-2009, 19:24

bueno nose si sera correcto o no pero las 3 webs que tengo ahi estaban en una vps con lxlabs, y solo estoy queriendo plantear que me he visto afectado por el crackeo, y mostrar la explicacion que (creo ha sido adecuada) pero a destiempo, del uno de los proveedores que tengo.

contenidosonline · 12-jun-2009, 21:09

hola

Yo soy unos de los afectados por la caida de los servidores de vaserv. Me gustaría comentar lo que desde mi punto de vista ha sucedido estos tristes días.

Yo tenía un servidor en fsckvps.com, de 512M y 20GB por el cual pagaba menos de U$$10, un precio excelente teniendo en cuenta el funcionamiento del vps. La calidad de servicio siempre fue muy buena para el precio, el servidor funcionaba muy bien, y no se veía una sobreacarga de los nodos por sobreventa.

Además la empresa (vaserv) siempre aclaraba en su página que el servicio no era administrado y que los backups eran responsabilidad de los usuarios.

En resumen, un excelente servicio para el precio, no se si apropiado para proyectos importantes, pero si para testear proyectos/backups o sitios no críticos.

Por suerte yo usaba ese vps solo para respaldos, no para hosting, y los respaldos los puedo ir generando de nuevo en mi servidor de producción (en otra companía).

Bueno, mi vps se perdío por completo, y ayer recibí los datos de un nuevo vps de 20G y 1M de ram aparentemente hosteado en Los Angeles (antes estaba en Dallas). Por ahora no hay panel de control del vps, solo acceso por consola y con la posibilidad de usar solo Centos 5.3 (yo antes usaba Debian). Pienso que esto será solo por unos días.

Además nos ofrecen por compensación 2 meses gratis de servicio.

La verdad que muy triste todo, sobre todo el fallecimiento del dueño de Lxlabs. También por todas las perdidas de económicas y de empleos que esto causó.

Sería bueno, ya que aparentemente Ligesh (ceo de Lxlabs) era el único que tenía acceso y conocimiento a todo el código de HyperVM/Lxadmin que ese software se libere como opensource, así todo su esfuerzo no es en vano y se pierde para siempre.

roberto

Ilu10 · 13-jun-2009, 02:47

Vengo siguiendo este asunto desde que empezó y me gustaría hacer una breve reflexión: estas compañías (fsckvps, cheapvps, etc.) estaban operando con total honestidad y ofreciendo un servicio excelente, haciendo sus ventas desde unos sites que apenas tenían 4 páginas de html. En mi vida he visto ofertas más claras que éstas.

Lo que no entiendo es que ahora WHT esté lleno de gente quejándose porque no tenían backups, de vendedores de hosting que dicen haber perdido sus negocios y otras tonterías por el estilo. Frente a la honestidad y el buen hacer de fsckvps y cheapvps, hay que destacar la necedad de todos estos aficionados al hosting.

Esperemos que vuelvan a la Red y salgan adelante.

KingJah · 13-jun-2009, 07:52

pues la verdad e revisado el tema en otra parte y lo vi una lastima mis sentido pesame a lxlab porque eso les dolera en su reputacion si no es momento de criticas en este mundo que itnernet estan inseguro me imagino que devian de haber tenido mas cuidado o almenos checar mas los bugs ya que los hackers son una pxxx fue mi mas sentido pesame a los familiares del señor Ligesh y suerte yo uso el panel lxlabs en xeon y pues va bien suerte ojala dios los proteja y les devengue todo su bien

ideasmultiples · 13-jun-2009, 10:01

Parece que nadie se acuerda de las veces que ha pasado alguna parecida con cPanel, que le pregunten a hostGator....

f.villalba · 13-jun-2009, 14:33

Desde mi punto de vista este tipo de personas no se les llaman hackers, que se confunde mucho, se les llama crackers.

Saludos,

ResellerHost · 13-jun-2009, 14:37

Hola, aun siguen las especulaciones, con firmeza no se sabe si fue un crackeo por solo decir "yo puedo" o un crackeo pagado por la competencia, si no me equivoco este software era el que permitia crear las vps mas economicas del mercado, asi que yo me inclino por un crackeo pagado...

ideasmultiples · 13-jun-2009, 19:08

Cita:

Iniciado por ResellerHost

Hola, aun siguen las especulaciones, con firmeza no se sabe si fue un crackeo por solo decir "yo puedo" o un crackeo pagado por la competencia, si no me equivoco este software era el que permitia crear las vps mas economicas del mercado, asi que yo me inclino por un crackeo pagado...

Yo creo que ves demasiadas películas

La competencia no necesita ese tipo de argucias, no se puede comparar hyperVM con Parallels o con cualquiera de las grandes en virtualización.

ResellerHost · 14-jun-2009, 20:24

Saludos, es solo un comentario, ademas nadie a ciencia cierta sabe que fue lo que paso, un supuesto grupo de crakers se hizo responsable, pero la verdad no esta aclarada...

Adsl5mb · 15-jun-2009, 07:01

Cita:

Iniciado por ResellerHost

Saludos, es solo un comentario, ademas nadie a ciencia cierta sabe que fue lo que paso, un supuesto grupo de crakers se hizo responsable, pero la verdad no esta aclarada...

Hay miles de grupos hackers crackers que lo hacen sólo para demostrar su poder